La seguridad en ClapDiet
Las protecciones que ClapDiet tiene de verdad, nombradas con suficiente precisión como para exigírnoslas — y, al final, las que no afirmamos tener.
Qué respalda tu cuenta
Tu historial de salud es de la información más personal que tienes. Esto es lo que lo protege, en términos que puedes comprobar y no en adjetivos que no puedes.
1 año
Política estricta de HTTPS
90 días
Registro de accesos conservado
0
Datos de tarjeta guardados
Cómo te protegemos
Cifrado en tránsito
Toda conexión va por HTTPS, y enviamos una cabecera de transporte estricto que cubre cada subdominio durante un año, de modo que tu navegador rechaza una conexión HTTP simple con nosotros aunque algo intente forzarla.
Las contraseñas nunca se guardan
Lo que conservamos es un hash bcrypt: una función de un solo sentido, lo bastante lenta como para que adivinar a partir de una tabla robada resulte caro en vez de instantáneo. Nadie aquí puede leer tu contraseña, nosotros incluidos.
Los intentos de acceso se bloquean de forma progresiva
Tres fallos bloquean la cuenta cinco minutos, cinco fallos quince, diez una hora y veinte un día entero. Eso convierte miles de intentos por hora en cuatro.
Verificación en dos pasos
TOTP opcional — el código rotativo de seis dígitos de cualquier app de autenticación — con códigos de respaldo de un solo uso que también van cifrados, así que la lista que guardamos no es una lista de códigos utilizables.
Dos registros de acceso independientes
La aplicación anota inicios de sesión, cambios de contraseña y acciones de administración; por debajo, disparadores de la base de datos anotan cambios en cuentas, sesiones, accesos y paneles de análisis. Ambos se conservan 90 días.
Los datos de tu tarjeta nunca llegan hasta nosotros
Los pagos pasan por la página de pago de Stripe. No existe ningún campo de número de tarjeta en este producto, que es la forma más sólida que puede tomar esa promesa.
De dónde vienen tus derechos
Los derechos sobre tus datos valen más que los sellos. Estos están implementados, no prometidos:
RGPD — descarga todo lo que tienes guardado, corrige lo que quieras, o elimina tu cuenta y haz que el historial de salud se borre en una sola operación
HIPAA — ClapDiet es una app de consumo, no una entidad cubierta, así que HIPAA no nos obliga. Varias salvaguardas de su Norma de Seguridad están igualmente aplicadas; nuestro centro de ayuda enumera las que no
HTTPS en todas partes — con una política de transporte estricto de un año y una política de seguridad de contenido que impide que un script inyectado envíe tus datos a otro sitio
Un registro de accesos — incluida una anotación cada vez que alguien de administración abre el perfil o el panel de análisis de una persona
Lo que no afirmamos
Una página de seguridad solo merece leerse si también incluye las ausencias. Esto es lo que esta página llegó a afirmar y no puede sostener:
Cifrado en reposo — tus datos van cifrados en tránsito. La base de datos en sí no está cifrada aparte, y decir lo contrario sería la frase más fácil de escribir y la menos cierta
Una certificación de seguridad — sin informe SOC 2, sin ISO 27001 y sin auditoría independiente que enseñarte
Un programa de recompensas por fallos — no existe, y no hemos publicado ninguna prueba de penetración. Los avisos siguen siendo muy bienvenidos
Vigilancia ininterrumpida — nadie mira una pantalla a las tres de la madrugada, y no publicamos ninguna cifra de disponibilidad porque no la medimos
Consejos para mantenerte seguro
Esto es lo que más cambia las cosas por tu parte:
- Usa una contraseña que no uses en ningún otro sitio
- Activa la verificación en dos pasos y guarda los códigos de respaldo en un sitio que no sea tu teléfono
- No compartas tu contraseña con nadie
- Cierra sesión cuando uses un ordenador compartido o público
- Trata como falso cualquier correo que te pida la contraseña: nunca la pedimos
- Mantén actualizados tu navegador y tus dispositivos
¿Has encontrado un fallo de seguridad?
Si detectas un problema de seguridad, cuéntanoslo cuanto antes. Nos tomamos en serio todos los avisos y trabajaremos deprisa para resolverlo.
Informar de un fallo de seguridad